1/13
Procedimiento Nº: PS/00227/2019
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y
en base a los siguientes
ANTECEDENTES
PRIMERO: La afectada interpuso el 10/05/2019 reclamación ante la Agencia Española
de Protección de Datos. La reclamación se dirige contra XFERA MÓVILES, S.A.
(MASMOVIL), con NIF A82528548 (en adelante XFERA). Los motivos en que basa la
reclamación son, en síntesis, los siguientes: que tanto la línea de teléfono fijo como la
conexión a Internet a través de ADSL, dejaron de funcionar repentinamente; que
puesta en contacto con la compañía le comunicó que se había producido un cambio
del nombre del titular, domicilio, y tipo de acceso a Internet, ahora por fibra óptica, pero
que seguía constando su DNI, cuenta bancaria y correo electrónico; que estas nuevas
condiciones de servicio provocaron un cambio de contrato que produjo cargos en su
cuenta bancaria y que pese a haber presentado una reclamación ante la compañía
con fecha 30/05/2018, con número de incidencia ***INCIDENCIA.1, a fecha de
presentación de la reclamación en la Agencia, sigue sin teléfono fijo ni conexión a
Internet, si bien las líneas móviles incluidas en el contrato si funcionan. Tampoco
puede conectarse con el Área de clientes; que según el denunciante tuvieron lugar el
29/05/2018
Y, entre otra, anexa la siguiente documentación:
Contrato de Servicios Combinados MASMOVIL particulares
Documento SEPA
Factura de fecha 1 de marzo de 2018 donde constan los datos de la
reclamante y el acceso a Internet por ADSL correspondiente al contrato
***CONTRATO.1 (Obtenida vía web del Área de clientes)
Factura de fecha 1 de junio de 2018 donde constan los datos cambiados y
acceso a Internet por fibra óptica correspondiente al contrato ***CONTRATO.2
(Obtenida vía web del Área de clientes)
Denuncia con fecha ***FECHA.1 interpuesta ante la Dirección General de la
Policía, con número de atesado ***ATESTADO.1, adjuntando dos hojas
mecanografiadas por una cara, exponiendo los hechos.
SEGUNDO: A la vista de los hechos denunciados en la reclamación y de los
documentos aportados por el reclamante / de los hechos y documentos de los que ha
tenido conocimiento esta Agencia, la Subdirección General de Inspección de Datos
procedió a la realización de actuaciones previas de investigación para el
esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación
otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/13
Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de
los derechos digitales (en lo sucesivo LOPDGDD).
1 En la documentación aportada por la reclamante, se constata que ha habido un
cambio de contrato en donde se han cambiado el nombre del titular del
contrato y el domicilio, conservando la cuenta bancaria de cargo
correspondiente a la reclamante.
1. Con fecha 6 y 8/12/2018 se recibe en esta Agencia dos escritos exactamente
iguales procedentes de XFERA correspondientes al traslado de la reclamación.
En ellos manifiesta, al haberse presentado denuncia ante la Dirección General
de la Policía, que “…teniendo en cuenta que estos hechos ya están siendo
investigados de forma oficial por la vía penal, solicitamos se esté a la
resolución de dicho procedimiento para esclarecer las posibles casusas del
incidente… “. Cabe mencionar que, en estos escritos, aunque el expediente al
que hacen referencia es el correcto, nombran como reclamante a una persona
diferente de la que ha presentado la reclamación en este caso. Probablemente,
se trate de un reclamante de otro expediente.
2. Con fecha 10/05/2019 se recibe en esta Agencia nuevo escrito de XFERA, esta
vez figurando el reclamante correcto, contestando parcialmente a lo que se le
requería. En él manifiesta que se abrieron dos incidencias con fecha de gestión
de 20/08/2018 (***INCIDENCIA.1 y ***INCIDENCIA.2) y otra incidencia
posterior con fecha de gestión de 11/09/2018 (INCIDENCIA.3). La reclamada
informa que como consecuencia de estas incidencias se ha rectificado el
nombre del titular del contrato, a la vez que se confirmó que el contrato
***CONTRATO.1 no generó facturación por lo que se encuentra “sin acción
pendiente”.
Preguntada por la situación del procedimiento judicial mencionado en su primer
escrito, y en el que solicitaban mantenerse a la espera de resolución,
manifiestan que desconocen el estado de tramitación del mismo.
Aportan impresión de pantalla de la tramitación de la incidencia de suplantación
de identidad en donde se aprecia número de incidencia ***INCIDENCIA.4 y
fecha de creación de 11/11/2018 y estado sin resolver.
Sobre las causas que han motivado la reclamación, informan de que no
pueden ser completamente expuestas en el momento de presentación de este
escrito.
Finalmente manifiestan que están adoptando internamente las acciones
oportunas de cara a implementar nuevas medidas formativas, incluyendo
asesoramiento externo, para todo el personal implicado en los procesos
comerciales.
3. Preguntada la reclamada mediante requerimiento de esta Agencia por la vía
por la que se produjo la suplantación de identidad y el procedimiento empleado
para la acreditación de identidad, no ha dado respuesta a las cuestiones
planteadas.
TERCERO: Con fecha 11/06/2019, la Directora de la Agencia Española de Protección
de Datos acordó iniciar procedimiento sancionador al reclamado por la presunta
infracción del artículo 6.1.a) del RGPD, tipificada en el artículo 83.4 del RGPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/13
CUARTO: Notificado el citado acuerdo de inicio, el reclamado presentó escrito de
alegaciones el 01/07/2019 manifestando, en síntesis, lo siguiente: el error en la
apreciación de la infracción del artículo 6.1 del RGPD y que en todo momento su
actuación se ajustó a la legalidad vigente siendo cuestión distinta la intervención de un
tercero de mala fe con finalidad defraudatoria; que consta acreditado en el expediente
la apertura de causa penal para la averiguación de los hechos que son objeto de
atención en el mismo acuerdo de Inicio y que la misma prejudicialidad penal impide la
prosecución de este expediente que debe ser suspendido en tanto no se resuelva
aquélla; la invocación del principio de presunción de inocencia debido a la
insuficiencia justificación de la pretendida sanción administrativa y el archivo del
expediente.
QUINTO: Con fecha 31/07/2019, el instructor del procedimiento acordó la apertura de
un período de práctica de pruebas, acordándose las siguientes:
- Dar por reproducidos a efectos probatorios la reclamación interpuesta por la
reclamante y su documentación, los documentos obtenidos y generados por los
Servicios de Inspección que forman parte del expediente E/10393/2018.
- Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio
PS/00227/2019 presentadas por XFERA MÓVILES, S.A. y la documentación
que a ellas acompaña.
- Solicitar a XFERA copia del contenido de las incidencias MM177623,
MM234465 y MM272613.
- Solicitar a la reclamante documentación que obre en su poder relacionada con
procedimiento sancionador que por cualquier motivo no hubieran sido
aportadas en el momento de la denuncia ó, cualquier otra manifestación en
relación con los hechos denunciados y la copia de su DNI.
La representación de la reclamada presentó escrito de ampliación de plazo el
13/08/2019, que fue atendido mediante escrito de 26/08/2019.
SEXTO: En fecha 05/11/2019, fue emitida Propuesta de Resolución en el sentido de
que por la Directora de la Agencia Española de Protección de Datos se sancionara a
XFERA por infracción del artículo 6.1.a) del RGPD, tipificada en el artículo 83.5.a) del
RGPD, con multa de 60.000 €. Asimismo, se acompañaba Anexo conteniendo la
relación de los documentos obrantes en el expediente a fin de obtener copia de los
que estimara convenientes.
La representación de XFERA presentó el 05/12/2019 escrito en el que reiteraba las
alegaciones vertidas durante el procedimiento; que en todo caso la sanción habría de
moderarse para ajustarse al principio de proporcionalidad.
SEPTIMO: De las actuaciones practicadas en el presente procedimiento, han quedado
acreditados los siguientes:
HECHOS PROBADOS
PRIMERO. El 03/07/2018 de la reclamante en el que denuncia a XFERA señalando
que tanto la línea fija de teléfono como la conexión a Internet a través de ADSL
dejaron de funcionar y que puesta en contacto con la compañía le comunicaron que se
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/13
había producido un cambio de titular, domicilio y tipo de acceso a Internet (ahora por
fibra óptica), pero que continuaban constando su DNI, su cuenta bancaria a efectos de
domiciliación y correo electrónico; que estas nuevas condiciones provocaron un
cambio de contrato que provocando cargos en su cuenta bancaria y que pese a haber
presentado una reclamación ante la compañía, a fecha de presentación de la
reclamación en la Agencia, sigue sin teléfono fijo ni conexión a Internet, aunque si
funcionan las líneas móviles incluidas en el contrato, tampoco puede conectarse al
Área de clientes de la compañía.
SEGUNDO. Consta denuncia ante Comisaría de Policía Nacional el ***FECHA.1,
Atestado nº ***ATESTADO.1. La reclamante manifiesta, entre otras:
“Que estos años transcurren con normalidad llevando a cabo el pago
de facturas al día, hasta que el martes paso día 29/05/2018 se
percata de que no funciona la conexión a internet por o que se pone
en contacto con la compañía Masmovil quienes le informan que no
funciona el ADSL (lo que tenía contratado la compareciente), pero si
la fibra.
Que además le informan que se hizo un cambio de contrato el día
18/05/2018 en el cual se incluye conexión a internet por fibra óptica y
una línea fija así como un cambio en los datos con lo que inicialmente
se contrató el servicio (los de la compareciente) para incluir una
nueva línea fija ***TELÉFONO.3, así como la contratación de fibra
óptica en vez del ADSL que tenía contratado la compareciente.
Que en el nuevo contrato se cambian los datos de la compareciente,
apareciendo como titular A.A.A., con DNI ***NIF.1 y domicilio en
***DIRECCIÓN.1 de Madrid.
Que desconoce quién es esta persona ya que no ha oído ese nombre
en la vida”.
TERCERO. Consta aportado CONTRATO DE SERVICIOS COMBINADOS MASMOVIL
PARTICULARES suscrito por la entidad y el reclamante el 08/09/2016, en el que
figuran sus datos de carácter personal, constando como servicios contratados dos
líneas de telefonía móvil asociados a los números ***TELÉFONO.1 y ***TELÉFONO.2
y servicios de telefonía fija y acceso a internet de banda ancha, vinculados a la línea
fija ***TELÉFONO.3, no figurando en el citado contrato cambio de titular ni datos del
anterior titular.
CUARTO. Aporta igualmente documento de Aceptación domiciliación de pago facturas
en cuenta bancaria, de su titularidad.
QUINTO. Consta copia de la factura emitida por XFERA nº ***FACTURA.1, de fecha
01/03/2018 en las que figuran los datos personales de la reclamante (nombre,
apellidos, DNI, datos cuenta bancaria de su titularidad, etc.)
SEXTO. Consta copia de la factura emitida por XFERA, nº ***FACTURA.2, de fecha
01/06/2018 en las que figuran los datos personales del tercero:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/13
B.B.B.
Calle ***DIRECCIÓN.2
28044 Madrid
Madrid
Paralelamente, en la factura figura como forma de pago consta domiciliación bancaria
y como titular de la misma cuenta de la que es titular la reclamante, consta asociada a
B.B.B.
SEPTIMO. XFERA el 10/05/2018 ha aportado captura de pantalla de sus sistemas
informáticos relacionada con la tramitación de incidencia por suplantación de
identidad, número ***INCIDENCIA.4 y fecha de creación de 11/11/2018, estado sin
resolver. En la parte inferior figura el siguiente comentario: ”por favor verificad, adjunto
la llamada donde el operador llama al cliente para hacer migración de tecnología pero
a pesar de que el cliente da otros datos diferentes, el operador, en lugar de
verificar/contrastar, hace cambio de mysim de dirección, nombre directamente”.
OCTAVO. XFERA no ha aportado documento alguno que acredite o justifique la
modificación de las condiciones señaladas anteriormente en el contrato llevado a cabo
con la reclamante.
FUNDAMENTOS DE DERECHO
I
En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada
autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD,
la Directora de la Agencia Española de Protección de Datos es competente para iniciar
y para resolver este procedimiento.
II
Con carácter previo procede resolver la alegación presentada por la
representación del reclamado, en base a la existencia de una prejudicialidad penal.
Se manifiesta que al haber tenido conocimiento que ciertos hechos que podrían
ser constitutivos de un supuesto de delito de estafa tipificado en el artículo 248 y
siguientes del Código Penal, se ha presentado una denuncia ante la policía nacional,
lo que conllevaría la declaración de la suspensión del presente procedimiento ante la
concurrencia de una posible infracción penal por falsedad documental, suplantación de
la personalidad y estafa. En particular, y en virtud de la denuncia presentada por la
reclamante, Avon ha tenido conocimiento de que se podría haber falseado su proceso
de contratación empleando un tercero de forma fraudulenta la identidad de la
denunciante.
Debe tenerse en cuenta que el art. 77.4 de la Ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP): “En
los procedimientos de carácter sancionador, los hechos declarados probados por
resoluciones judiciales penales firmes vincularán a las Administraciones Públicas
respecto de los procedimientos sancionadores que substancien”. Sin embargo, aunque
existieran diligencias previas penales en tramitación, que no constan, hay que indicar,
que no existe la triple identidad necesaria para aplicar el artículo 77 de la LPACAP, (de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/13
sujeto, hecho y fundamento), entre la infracción administrativa que se valora y la
posible infracción o infracciones penales que se pudieran derivar de las presuntas
Diligencias Previas practicadas por un órgano jurisdiccional. Esto, porque el sujeto
infractor es obvio que no sería el mismo –respecto a las infracciones de la LOPD el
responsable es la XFERA, en tanto que el responsable penal de un eventual delito de
usurpación de personalidad o estafa sería el tercero que se hubiera hecho pasar por el
reclamante. Tampoco el fundamento jurídico sería el mismo: mientras el bien jurídico
protegido por la LOPDGDD es el derecho fundamental a la protección de datos
personales, el bien jurídico que se protege en los tipos penales cuya comisión
investigaría, llegado el caso, el Juzgado de Instrucción serían el estado civil, el
patrimonio, etc.
En este sentido es muy esclarecedora la Sentencia de la Audiencia Nacional de
27/04/2012 (rec. 78/2010), en cuyo Fundamento Jurídico segundo el Tribunal se
pronuncia en los siguiente términos frente al alegato de la recurrente de que la AEPD
ha infringido el artículo 7 del R.D. 1398/1993 (norma que estuvo vigente hasta la
entrada en vigor de la LPACAP): “En este sentido el Art. 7 del Real Decreto
1398/1993, de 4 de agosto, del procedimiento para el ejercicio de la potestad
sancionadora, únicamente prevé la suspensión del procedimiento administrativo
cuando se verifique la existencia efectiva y real de un procedimiento penal, si se
estima que concurre identidad de sujeto, hecho y fundamento de derecho entre la
infracción administrativa y la infracción penal que pudiera corresponder.
No obstante, y para la concurrencia de una prejudicialidad penal, se requiere
que ésta condicione directamente la decisión que haya de tomarse o que sea
imprescindible para resolver, presupuestos que no concurren en el caso examinado,
en el que existe una separación entre los hechos por los que se sanciona en la
resolución ahora recurrida y los que la recurrente invoca como posibles ilícitos
penales. Así, y aun de haberse iniciado, en el presente supuesto, y por los hechos
ahora controvertidos, también actuaciones penales frente a la empresa distribuidora,
lo cierto es que tanto la conducta sancionadora como el bien jurídico protegido son
distintos en una y otra vía (contencioso-administrativa y penal). En el ámbito penal, el
bien jurídico protegido es una posible falsedad documental y estafa, y en el ámbito
administrativo, en cambio, la facultad de disposición de sus datos personales por parte
de su titular, por lo que tal objeción de la demandada ha de ser rechazada”.
En consideración a lo expuesto no puede prosperar la cuestión planteada por la
representación de XFERA y debe ser rechazada.
III
El RGPD se ocupa en su artículo 5 de los principios que han de regir el
tratamiento de los datos personales y menciona entre ellos el de licitud, lealtad y
transparencia, señalando:
“1. Los datos personales serán:
a) tratados de manera lícita, leal y transparente en relación con el interesado
(«licitud, lealtad y transparencia»);
Por otra parte, el artículo 6, Licitud del tratamiento, del RGPD establece que:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/13
“1. El tratamiento solo será lícito si se cumple al menos una de las siguientes
condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos
personales para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el
interesado es parte o para la aplicación a petición de este de medidas
precontractuales;
(…)”
El artículo 7 del RGPD, Condiciones para el consentimiento, señala que:
“1. Cuando el tratamiento se base en el consentimiento del interesado, el
responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus
datos personales.
2. Si el consentimiento del interesado se da en el contexto de una declaración
escrita que también se refiera a otros asuntos, la solicitud de consentimiento se
presentará de tal forma que se distinga claramente de los demás asuntos, de forma
inteligible y de fácil acceso y utilizando un lenguaje claro y sencillo. No será vinculante
ninguna parte de la declaración que constituya infracción del presente Reglamento.
3. El interesado tendrá derecho a retirar su consentimiento en cualquier
momento. La retirada del consentimiento no afectará a la licitud del tratamiento
basada en el consentimiento previo a su retirada. Antes de dar su consentimiento, el
interesado será informado de ello. Será tan fácil retirar el consentimiento como darlo.
4. Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta
en la mayor medida posible el hecho de si, entre otras cosas, la ejecución de un
contrato, incluida la prestación de un servicio, se supedita al consentimiento al
tratamiento de datos personales que no son necesarios para la ejecución de dicho
contrato”.
Y el artículo 4 del RGPD, Definiciones, en su apartado 11, señala que:
“11) «consentimiento del interesado»: toda manifestación de voluntad libre,
específica, informada e inequívoca por la que el interesado acepta, ya sea mediante
una declaración o una clara acción afirmativa, el tratamiento de datos personales que
le conciernen”.
También el artículo 6, Tratamiento basado en el consentimiento del afectado,
de la nueva Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos
Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), señala
que:
“1. De conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE)
2016/679, se entiende por consentimiento del afectado toda manifestación de voluntad
libre, específica, informada e inequívoca por la que este acepta, ya sea mediante una
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/13
declaración o una clara acción afirmativa, el tratamiento de datos personales que le
conciernen.
2. Cuando se pretenda fundar el tratamiento de los datos en el consentimiento
del afectado para una pluralidad de finalidades será preciso que conste de manera
específica e inequívoca que dicho consentimiento se otorga para todas ellas.
3. No podrá supeditarse la ejecución del contrato a que el afectado consienta el
tratamiento de los datos personales para finalidades que no guarden relación con el
mantenimiento, desarrollo o control de la relación contractual”.
Se atribuye a la reclamada la vulneración del artículo 6 del RGPD; de
conformidad con los hechos declarados probados consta acreditado que la reclamada
llevo a cabo la modificación de los datos contenidos en el contrato de telefonía suscrito
con la reclamante, vinculándolos a los datos personales de un tercero que nada tenía
que ver con la misma sin su consentimiento.
IV
De conformidad con lo expresado con anterioridad, el tratamiento de datos
requiere la existencia de una base legal que lo legitime, como el consentimiento del
interesado prestado válidamente.
De la documentación obrante en el expediente se evidencia que XFERA
vulneró el artículo 6.1.a) del RGPD, puesto que la citada entidad realizo un tratamiento
ilícito de los datos personales del reclamante materializado en la alteración de las
condiciones y datos personales de la reclamante contenidos en el contrato que les
unía, asociando su NIF y sus datos bancarios al nombre, apellidos y domicilio
correspondiente a un tercero; que tanto la línea de telefonía móvil como el ADSL
contratadas dejaron de funcionar a partir de las citadas modificaciones y que ante la
reclamación interpuesta por la reclamante ante XFERA fue calificada como fraude para
su estudio.
La Sala de lo Contencioso Administrativo de la Audiencia Nacional, en
supuestos similares ha considerado que cuando el titular de los datos niega el
consentimiento en el tratamiento de sus datos corresponde la carga de la prueba a
quien afirma su existencia debiendo el responsable del tratamiento recabar y
conservar la documentación necesaria para acreditar el consentimiento del titular. Así,
la SAN de 31/05/2006 (Rec. 539/2004), Fundamento de Derecho Cuarto.
La reclamante ha aportado copia del contrato suscrito con la compañía de
fecha 08/09/2016 donde no figura cambio de titular ni datos de titular anterior, asi como
las facturas anterior y posterior a la citada modificación, en la primera figuran sus
datos de dirección y de domiciliación bancaria vinculados a sus datos de carácter
personal mientras que en la segunda sus datos personales han sido modificados
figurando los de un tercero ajeno a aquella y como forma de pago consta domiciliación
bancaria vinculándose el tercero como titular de la misma cuenta de la que es titular la
reclamante.
Hay que señalar que el respeto al principio de licitud de los datos exige que
conste acreditado que el titular de los datos consintió en el tratamiento de los datos de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/13
carácter personal y desplegar una razonable diligencia imprescindible para acreditar
ese extremo. De no actuar así el resultado sería vaciar de contenido el principio de
licitud.
En este sentido, XFERA en escrito de 10/05/2018 ha aportado captura de
pantalla relacionada con la tramitación de incidencia por suplantación de identidad,
número de incidencia ***INCIDENCIA.4 y fecha de creación de 11/11/2018, sin
resolver. En la parte inferior figura el siguiente comentario:” por favor verificad, adjunto
la llamada donde el operador llama al cliente para hacer migración de tecnología pero
a pesar de que el cliente da otros datos diferentes, el operador, en lugar de
verificar/contrastar, hace cambio de mysim de dirección, nombre directamente”.
Además, ha de destacarse que pese al requerimiento informativo de la
Agencia, la reclamada no trasladó respuesta a las cuestiones planteadas como la vía
por la que se produjo la supuesta suplantación y el procedimiento empleado para
acreditar la personalidad, limitándose a señalar que las causas que provocó la
incidencia no podían ser expuestas al desconocer lo ocurrido.
V
La infracción que se le atribuye a la reclamada se encuentra tipificada en el
artículo 83.5 a) del RGPD, que considera que la infracción de “los principios básicos
para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los
artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado
artículo 83 del citado Reglamento, “con multas administrativas de 20.000.000€ como
máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como
máximo del volumen de negocio total anual global del ejercicio financiero anterior,
optándose por la de mayor cuantía”.
La LOPDGDD en su artículo 71, Infracciones, señala a efectos de prescripción
que: “Constituyen infracciones los actos y conductas a las que se refieren los
apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que
resulten contrarias a la presente ley orgánica”.
Y en su artículo 72, considera a efectos de prescripción, que son: “Infracciones
consideradas muy graves:
1. En función de lo que establece el artículo 83.5 del Reglamento (UE)
2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que
supongan una vulneración sustancial de los artículos mencionados en aquel y, en
particular, las siguientes:
(…)
b) El tratamiento de datos personales personales sin que concurra alguna de
las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento
(UE) 2016/679.
(…)”
De conformidad con los hechos considerados probados, el reclamado vulneró
el artículo 6.1.a) del RGPD, al tratar de manera ilícita los datos personales de la
reclamante sin que constara su consentimiento, modificando las condiciones y los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/13
datos personales contenidos en el contrato que les unía, asociando su NIF y datos
bancarios al nombre, apellidos y domicilio correspondiente a un tercero, infracción que
viene tipificada en el artículo 83.5.a) del RGPD y que a efectos de prescripción viene
determinada en el artículo 72.1.b) de la LOPDGDD.
VI
A fin de establecer la multa administrativa que procede imponer han de
observarse las previsiones contenidas en los artículos 83.1 y 83.2 del RGPD, que
señalan:
“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.
2. Las multas administrativas se impondrán, en función de las circunstancias
de cada caso individual, a título adicional o sustitutivo de las medidas contempladas
en el artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate
así como el número de interesados afectados y el nivel de los daños y
perjuicios que hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento
para paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del
tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan
aplicado en virtud de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del
tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner
remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso,
en qué medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido
ordenadas previamente contra el responsable o el encargado de que se trate
en relación con el mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos
de certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del
caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa
o indirectamente, a través de la infracción.
En relación con la letra k) del artículo 83.2 del RGPD, la LOPDGDD, en su
artículo 76, “Sanciones y medidas correctivas”, establece que:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/13
“2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE)
2016/679 también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos
de datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la
comisión de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión
de la infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de
datos.
h) El sometimiento por parte del responsable o encargado, con carácter
voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos
supuestos en los que existan controversias entre aquellos y cualquier
interesado.”
De acuerdo con los preceptos transcritos, y sin perjuicio de lo que resulte de la
instrucción del procedimiento, a efectos de fijar el importe de la sanción de multa a
imponer en el presente caso por la infracción tipificada en el artículo 83.5 del RGPD de
la que se responsabiliza a XFERA, en una valoración inicial, se estiman concurrentes
los siguientes factores:
El alcance meramente local del tratamiento llevado a cabo por la entidad
reclamada, pues se trata de un único tratamiento llevado a cabo sin consentimiento en
el contrato de suministro que les unía.
Solo se ha visto afectada una persona por la conducta infractora.
El daño y perjuicio causado a la reclamante al tener que interponer reclamación
ante la entidad y denuncia ante la policía y, además, según sus propias
manifestaciones la duración de la infracción ya que a fecha de la presentación de la
reclamación en la Agencia seguía sin teléfono fijo ni conexión a Internet.
La forma en que la autoridad de control tuvo conocimiento de la infracción, en
la medida en que esta ha sido a través de la reclamación de la afectada.
La entidad reclamada no ha concretado las medidas implementadas a fin de
evitar que se produzcan incidencias similares a fin de evitar incidencias como la
sucedidas alterando los datos contractuales de su titular sin consentimiento, etc.
No se tiene constancia de que la entidad hubiera obrado dolosamente, aunque
se observa una actuación bastante poco diligente.
La vinculación de la actividad del infractor con la realización de tratamientos de
datos de carácter personal pues en su actividad habitual trata datos de clientes como
de terceros.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/13
La entidad reclamada tiene la consideración de una gran empresa.
Por tanto, de conformidad con los criterios de graduación establecidos en el
artículo 83 del RGPD y 76 de la LOPDGDD se impone una sanción de 60.000 euros
de la que XFERA debe responder.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,
la Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a XFERA MÓVILES, S.A. (MASMOVIL), con NIF A82528548,
por una infracción del artículo 6.1.a) del RGPD, tipificada en el artículo 83.5.a) del
RGPD, una multa de 60.000 € (sesenta mil euros).
SEGUNDO: NOTIFICAR la presente resolución a XFERA MÓVILES, S.A.
(MASMOVIL).
TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una
vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el
art. 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago
voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado
por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003,
de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número
de procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº ES00 0000 0000 0000 0000, abierta a nombre de la Agencia Española
de Protección de Datos en el Banco CAIXABANK, S.A. En caso contrario, se
procederá a su recaudación en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se
encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el
pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si
se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del
pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la
presente Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art.
48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la
LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición
ante la Directora de la Agencia Española de Protección de Datos en el plazo de un
mes a contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/13
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la
LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa
si el interesado manifiesta su intención de interponer recurso contencioso-
administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este
hecho mediante escrito dirigido a la Agencia Española de Protección de Datos,
presentándolo a través del Registro Electrónico de la Agencia
[https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes
registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También
deberá trasladar a la Agencia la documentación que acredite la interposición efectiva
del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la
interposición del recurso contencioso-administrativo en el plazo de dos meses desde el
día siguiente a la notificación de la presente resolución, daría por finalizada la
suspensión cautelar.
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es